Die National Vulnerability Database (NVD) im Überblick
In unserem vorherigen Blogbeitrag – „Patch Tuesday: Oktober 2020“ – haben wir kurz auf die „Common Vulnerabilities and Exposures“ (CVE) eingegangen und erläutert, wie Software-Schwachstellen in der „National Vulnerability Database“ (NVD) katalogisiert werden. In diesem Blogbeitrag wollen wir etwas näher darauf eingehen, wie die NVD entstanden ist und wie sie IT-Sicherheitsexperten dabei hilft, die Sicherheitslage ihres Unternehmens zu bewerten und zu verbessern.
Was ist die National Vulnerability Database (NVD) und wer betreibt sie?
Die National Vulnerability Database (NVD) ist eine umfassende Datenbank mit gemeldeten bekannten Sicherheitslücken, denen CVE-Kennungen zugewiesen wurden. Sie wird vom National Institute of Standards and Technology (NIST) betrieben und vom National Cybersecurity and Communications Integration Center des Ministeriums für Innere Sicherheit sowie vom Network Security Deployment gefördert.
Wann wurde das NVD gegründet?
Das NVD wurde ursprünglich im Jahr 2000 ins Leben gerufen und hieß zunächst „Internet – Categorization of Attacks Toolkit“ (ICAT). Im Laufe der Zeit entwickelte es sich zu der Schwachstellen-Datenbank, die es heute ist.
Was bietet das NVD?
Das NVD liefert Analysen zu CVEs – dem Katalog bekannter Sicherheitsbedrohungen – und erfüllt folgende Aufgaben:
- Weist jeder Schwachstelle einen CVSS-Wert (Common Vulnerability Scoring System) zu
- Legt die Schwachstellentypen fest – Common Weakness Enumerations (CWE)
- Definiert Anwendbarkeitsangaben – Common Platform Enumeration (CPE)
- Enthält verschiedene weitere Informationen zur Funktionsweise und Ausnutzbarkeit der Sicherheitslücke – d. h. dazu, wie Cyberkriminelle diese ausnutzen können.
Diese Informationen können von Unternehmen genutzt werden, um die Schwachstellen und die entsprechenden Patches, die sie bereitstellen sollten, nach Priorität zu ordnen und so die Sicherheit ihrer IT-Infrastruktur zu gewährleisten.
Welche Bewertungsinformationen werden zu jeder Schwachstelle bereitgestellt?
Das Common Vulnerability Scoring System (CVSS) ist ein offener Standardsatz, der zur Bewertung einer Sicherheitslücke und zur Einstufung ihres Schweregrads auf einer Skala von 0 bis 10 verwendet wird. Das NVD stellt CVSS-„Basiswerte“ bereit, die die inhärenten Merkmale jeder Sicherheitslücke widerspiegeln. Die Schweregrade gemäß den CVSS-v3.0-Spezifikationen lauten wie folgt:
| Schweregrad | Grundpunktzahl |
|---|---|
| Keine | 0.0 |
| Niedrig | 0,1 – 3,9 |
| Mittel | 4,0 – 6,9 |
| Hoch | 7,0 – 8,9 |
| Kritisch | 9,0 – 10,0 |
Common Vulnerabilities and Exposures (CVE)
„Common Vulnerabilities and Exposures“ (CVE) ist ein Standard zur Kennzeichnung öffentlich bekannter Sicherheitslücken. Der 1999 von MITRE, einer staatlich finanzierten Forschungsorganisation, ins Leben gerufene CVE-Katalog erfasst Sicherheitsbedrohungen.
CVE ist mehr als nur eine Datenbank: Es ermöglicht Unternehmen, eine Basis für die Abdeckung durch ihre Sicherheitstools festzulegen. Damit können sie Daten zwischen Sicherheitslücken und den Diensten sowie der Nutzung ihrer Sicherheitstools miteinander verknüpfen.
Was ist der Zweck von CVE?
Der Hauptzweck von CVE besteht darin, die Art und Weise zu standardisieren, wie eine Sicherheitslücke oder ein Sicherheitsrisiko identifiziert wird – mit einer Identifikationsnummer, einer Beschreibung und mindestens einem öffentlichen Verweis. CVE ist kostenlos nutzbar und öffentlich zugänglich. Ein Beispiel für eine CVE-ID ist CVE-2020-16891, die das Präfix „CVE“, das Jahr, in dem die CVE-ID vergeben wurde bzw. in dem die Sicherheitslücke veröffentlicht wurde, sowie eine fortlaufende Nummer enthält.
Die CVE-Beschreibung enthält Angaben wie den Namen des betroffenen Produkts und des Anbieters, eine Übersicht über die betroffenen Versionen, die Art der Sicherheitslücke, die Auswirkungen, die Zugriffsrechte, die ein Angreifer benötigt, um die Sicherheitslücke auszunutzen, sowie die wichtigen Code-Komponenten oder Eingaben, die dabei eine Rolle spielen.
Die CVE-Referenz enthält die Sicherheitslückenberichte, Sicherheitshinweise oder Quellen, in denen die Sicherheitslücke und die möglichen Ausnutzungsmöglichkeiten detailliert beschrieben werden.
Was ist der Unterschied zwischen NVD und CVE?
Obwohl diese beiden Listen bzw. Datenbanken oft synonym verwendet werden, handelt es sich tatsächlich um separate, wenn auch miteinander verbundene Einheiten. CVE ist im Wesentlichen eine Liste von Einträgen zu Sicherheitslücken, während NVD eine umfangreichere Datenbank ist, die auf der CVE-Liste aufbaut und vollständig mit dieser synchronisiert ist, sodass alle Aktualisierungen der CVE-Liste auch in der NVD erscheinen. Die NVD ergänzt zudem, wie oben beschrieben, jede Sicherheitslücke um eine Analysekomponente. [Laut MITRE](https://cve.mitre.org/about/cve_and_nvd_relationship.html#:~:text=CVE – Eine Liste von Einträgen zu öffentlich bekannten Cybersicherheitsschwachstellen.&text=NVD – Eine Schwachstellendatenbank, die auf der CVE-Liste aufbaut; CVE-Einträge erscheinen sofort in der NVD.), speist die CVE-Liste die NVD. Beide werden von der Cybersecurity and Infrastructure Security Agency (CISA) des US-Heimatschutzministeriums (DHS) gefördert.
Wie viele Sicherheitslücken werden jedes Jahr gemeldet?
Die Cyberbedrohungslandschaft weitet sich mit der technologischen Entwicklung aus, und die Zahl der gemeldeten Software-Sicherheitslücken steigt von Jahr zu Jahr. Während beispielsweise im Jahr 2016 noch 6.447 Sicherheitslücken identifiziert wurden, hat sich diese Zahl bis 2019 auf 12.174 nahezu verdoppelt.
Cyberangriffe können unter Nutzung der Informationen aus den CVE- und NVD-Datenbanken orchestriert werden. Daher ist es wichtig, die Sicherheitslücken, die Ihre Systeme betreffen, zeitnah zu schließen, um die Sicherheit Ihrer IT-Systeme und Daten zu gewährleisten. Der Schweregrad der Sicherheitslücke hilft Ihnen dabei, zu entscheiden, welche Priorität die Bereitstellung von Patches in Ihrer Umgebung haben soll.
Kaseya VSA automatisiert das Software-Patch-Management, um Software-Schwachstellen zu beheben und die Software auf dem neuesten Stand zu halten. Mit Kaseya VSA können Sie Schwachstellen überwachen und den Patch-Status Ihrer gesamten IT-Umgebung über eine einzige Konsole einsehen.
Erfahren Sie mehr über das Patch-Management von Kaseya VSA, indem Sie eine kostenlose Testversion oder eine kostenlose Demo anfordern.
